Октябрьская коллекция патчей: Microsoft и не только

Октябрьское обновление продуктов Microsoft (Patch Tuesday) выделяется двумя моментами. Во-первых, общее количество патчей впервые представлено четырехзначным числом. Во-вторых, чтобы компаниям было легче изучать детали уязвимостей, Microsoft решила группировать их по «когортам риска» (risk cohorts). В «когорту» входят уязвимости, которые эксплуатируются в одинаковых условиях и влияют на одни и те же системы. Они не замещают ни оценку критичности, ни индивидуальные бюллетени для каждой CVE. Для полноценной приоритизации установки патчей они вряд ли подойдут, однако помогут быстро оценить какая часть инфраструктуры в данный момент наиболее подвержена рискам.

Уголок статистики

Из 1414 уязвимостей, закрытых октябрьским пакетом патчей, 1102 затрагивают непосредственно систему Windows, 134 — Microsoft Office, 36 — SharePoint Server, 22 — SQL server и 7 — Exchange Server. Подавляющее большинство — 677 — приводят к повышению привилегий, 317 — к выполнению произвольного кода (RCE), 40 — к обходу функций безопасности, 73 — к отказу в обслуживании (DoS).

Критических уязвимостей в списке 86, из которых 68 приводят к RCE, 14 — к повышению привилегий, три — к спуфингу и одна — к утечке данных. Помимо этого, две уязвимости были разглашены до устранения и одна эксплуатируется в реальных атаках.

CVE-2026-96951 — уязвимость в Windows Shell

Единственная закрытая в октябрьском обновлении уязвимость нулевого дня, которую злоумышленники уже эксплуатируют в реальных атаках, — CVE-2026-96951 в Windows Shell (степень опасности CVSS 8.8). Подробности ее эксплуатации пока не известны, однако, согласно описанию Microsoft, она сводится к инъекции команд, позволяющей обойти функцию безопасности при доступе через сеть. За обнаружение уязвимости Microsoft благодарит экспертов из Fujitsu и Anthropic, то есть, вероятно, найдена она нейросетями.

CVE-2026-108398 и CVE-2026-92707: уязвимости, раскрытые до выхода патчей

Информация о двух уязвимостях попала в общий доступ до выхода октябрьского обновления. В теории это может означать, что злоумышленники могли попытаться начать их эксплуатацию заранее. Это:

• CVE-2026-108398 — дырка в .NET Framework, позволяющая обойти защиту WDAC;
• CVE-2026-92707 — уязвимость в стороннем компоненте для сериализации MessagePack-CSharp, приводящая к отказу в обслуживании (DoS).

Однако, судя по бюллетеням, обе они пока не были замечены в реальных атаках.

На что еще обратить внимание

Несколько уязвимостей, закрытых свежим обновлением, сочетают в себе потенциально серьезные последствия и относительно простую эксплуатацию. Особо пристальное внимание стоит уделить трем дефектам, потенциально приводящим к исполнению произвольного кода:

• CVE-2026-65674 (в SQL Server);
• CVE-2026-70571 (в Exchange Server);
• CVE-2026-70229 (в AD domain services).

Что бы еще пропатчить?

Не только Microsoft публикует регулярные пакеты обновлений для свежевыявленных уязвимостей.

Adobe в октябрьском пакете обновлений устранили 174 дефекта в своих продуктах, среди которых выделяются критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для атакующих.

Октябрьский бюллетень от SAP содержит 20 уязвимостей, включая CVE-2026-89111 — SSRF в Cloud SDK for Python. Уязвимость, потянувшая на CVSS 10, позволяет угнать токены OAuth.

Как оставаться в безопасности?

В последнее время благодаря нейросетям количество выявляемых и закрываемых брешей регулярно бьет рекорды. Для того чтобы не утонуть в потоке выходящих патчей, мы рекомендуем использовать автоматизированную платформу для учета и оценки уязвимостей. Она помогает не только выявлять и устранять уязвимости, но и приоритизировать их с учетом реальных рисков для бизнеса, а также автоматизировать процессы исправления.